名称 TROJ_SKA
別名 Happy99.exe
種別 その他
感染 なし
発見日 1999/1 発祥地 アメリカ
感染機種 WINDOWS95/98/NTが動作する環境(機種問わず)
発病日 なし 増加サイズ N/A
特徴
- これはワームに分類される破壊プログラムである｡ネットワークやE-Mail､NewwsGroupを通じて他のマシンに感染を広げていくタイプであり､ローカルマシン内で他のファイルに感染することはない｡このウイルスは､ユーザーの気づかぬうちに､メール送信時やニュースグループへの投稿時に｢Happy99.exe｣という名前のファイルを自動的に添付することによって､感染を広げていく｡
- オリジナルファイル名は"Happy99.exe"という名前である｡Windows32Bit環境でのみ動作可能である｡
- このファイルを実行すると､"Happy New Year 1999!!"というメッセージを表示し､同時に花火の画像を表示する｡きれいな画像だが､これはウイルスの動作からユーザの目をそらすための細工であると考えられる｡
感染方法:
- このウイルスファイルが実行されると､\Windows\System ディレクトリに｢SKA.EXE｣という名前で自分自身の複製を作成する｡この\Windows\System に､"SKA.DLL"という名称のファイルがあるかどうかを確認し､ない場合は､"SKA.EXE"から"SKA.DLL" というファイルを展開する｡
- 次に､\%Systemroot%\Windows\System ディレクトリ内に､｢WSOCK32.SKA｣ファイルがあるかどうかを確認する｡もしこの名前のファイルがない場合は､｢WSOCK32.DLL｣を｢WSOCK32.SKA｣という名前で複製して保存する｡
- さらに"WSOCK32.DLL"を修正し､"EnumProtocolsW" と "WSAAsyncGetProtocolByName"というエクスポート関数へのフックを追加する｡これらはウイルス自身の関数を指している｡
- もし､実行時に"WSOCK32.DLL"がWINDOWSによって使用中であった場合は､このウイルスは以下のキーをレジストリに付け加える｡
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Ska.exe="Ska.exe"
これによって､次にマシンを起動したときに一度だけ"SKA.EXE"が実行される｡この場合､"WSOCK32.DLL"を他のアプリケーションが使用する前に､修正してしまう｡
- "connect"と"send"エクスポート関数を修正された"WSOCK.32.DLL"は､マシンがネットワークにつながってメールを送るなどの動作があるかどうかを監視する｡メールやニュースグループへの投稿する際に､これらの関数が呼び出されると､"mail"と"news"という二つのエクスポート関数をもつ｢SKA.DLL｣がロードされる｡これにより､｢SKA.EXE｣をUUencode形式でエンコードした｢Happy99.exe｣を自動的に添付して送信させる｡
備考
このSKA.EXEファイルは､HAPPY99.EXEの複製ではあるが､これ自身を実行しても､花火の画像を表示することはない｡ただ､"WSOCK32.DLL"を修正するだけである｡
**手動駆除手順**
●"Happy99.exe"を実行したとき､WSOCK32.DLLが使用中であり､なおかつ､まだ再起動していない場合
１．"Happy.exe","SKA.exe","SKA.DLL","WSOCK32.SKA"を削除する
２．このとき､ウイルスは､レジストリに登録されるので､"regedit"を起動し､以下のレジストリの値を削除する｡
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Ska.exe="Ska.exe"
３．マシンを再起動する｡
*この場合､"WSOCK32.DLL"と"WSOCK32.SKA"は全く同じものである｡従って､"WSOC32.SKA"を削除しないでも別に害はない｡
●"Happy99.exe"を実行したとき､WSOCK32.DLLが使用中であり､なおかつ､もう再起動してしまった場合､またはWSOCK32.DLLが使用中ではなかった場合
１．"Happy.exe","SKA.exe","SKA.DLL"を削除する
２．このとき､ウイルスは､レジストリに登録されるので､"regedit"を起動し､以下のレジストリの値を削除する｡
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Ska.exe="Ska.exe"
３．SAFE MODEでWindowsを起動し､"WSOCK32.DLL"を削除する｡
４．"WSOCK32.SKA" を､"WSOCK32.DLL"にリネームする｡